文献

J-GLOBAL ID：202202211104937083   整理番号：22A0935639

Log4j2の脆弱性とは何か?Part 1 そのセキュリティ問題を深く知る-Log4Shellの起こした波紋

著者 (1件)： 面和毅 (サイオスグループ)
資料名： Software Design  (Software Design)
号： 378  ページ： 102-108  発行年： 2022年04月18日 
JST資料番号： L3952A  ISSN： 0916-6297  資料種別： 逐次刊行物 (A)
記事区分： 解説  発行国： 日本 (JPN)  言語： 日本語 (JA)

抄録/ポイント： ・米国NIST(National Institute of Standards and Technology)の脆弱性情報データベースのスコアで最も緊急性の高い値が付けられた,Apache Log4jの2.x系(Log4j2)の脆弱性(Log4Shell)を概説。
・設定ファイルでログの出力テンプレートを作成するときに,テンプレート内に変数を用いるとLookup機能による変数展開がログとして出力するメッセージ本文でも行われることが原因。
・リモート攻撃可能なゼロデイ脆弱性がPoC(Proof of Concept)付きで広まり,絞り切れなかった影響範囲が1.x系やLogbackなどにも及び,騒動が大きくなって芋づる式に脆弱性が発見。
・企業では脆弱性のキャッチアップ,脅威報の情報分析,影響範囲の絞り込み,攻撃の検知のための仕組みを構築する必要があり,脆弱性発見者の公開に関するマナーを説明。

シソーラス用語： *ソフトウェア設計 ,  *情報セキュリティ ,  性質 ,  データベース ,  記録 ,  遠隔制御 ,  情報公開 ,  データ保護
準シソーラス用語： 脆弱性 ,  ログ

分類 (2件)： 計算機システム開発  (JD02010R) ,  データ保護  (JD01020V)

タイトルに関連する用語 (2件)： 脆弱性 ,  セキュリティ